Hvorfor security frameworks findes

Disse begreber blandes ofte sammen, men de er forskellige:

• Rammeværk (f.eks. NIST CSF) - en fleksibel struktur af praksisser, som du tilpasser til din kontekst. Normalt frivilligt.
• Standard (f.eks. ISO 27001) - en formel specifikation, som du kan blive certificeret efter af en akkrediteret revisor.
• Regulering (f.eks. GDPR, HIPAA) - et lovkrav med sanktioner ved manglende overholdelse.

De overlapper: Et rammeværk hjælper ofte med at opfylde en regulering, og en standard kan danne grundlag for certificering.

Moderne rammeværk er risikobaserede i stedet for tjeklistebaserede. Du kan ikke beskytte alt lige godt, så du prioriterer ud fra risiko.

Risiko kombinerer tre faktorer:

Du kan ikke beskytte det, du ikke har registreret. Alle rammeværk begynder med at kende dine aktiver: data, systemer, applikationer, personer og deres værdi for virksomheden.

• Hvilke data opbevarer vi, og hvor følsomme er de?
• Hvilke systemer er kritiske for driften?
• Hvem har adgang til hvad?

Et register over aktiver og data er fundamentet; kontroller, der anvendes uden det, bygger på gætteri.

Trods forskellige navne dækker de fleste rammeværk de samme kontrolfamilier:

• Adgangskontrol - godkendelse, autorisation og mindst mulige rettigheder.
• Styring af aktiver og konfiguration.
• Logning og overvågning.
• Hændelsesrespons.
• Databeskyttelse - kryptering, sikkerhedskopiering og opbevaring.
• Leverandør- og forsyningskæderisiko.

Lær familierne én gang, så kan du kortlægge mellem et hvilket som helst par af rammeværk.

Rammeværk kræver styring: nogen skal have ejerskab for sikkerhedsresultaterne. En kontrol uden en ejer bliver ikke vedligeholdt.

God styring fastlægger politikkerne (reglerne), tildeler ansvaret (hvem der håndhæver dem) og fastsætter et gennemgangsinterval (hvornår de vurderes igen). Det er det, der adskiller et ægte program fra et ringbind med dokumenter, som ingen læser.

En almindelig fejl er at behandle et rammeværk som en tjekliste, der skal opfylde en revisors krav én gang om året. Overholdelse af krav er ikke det samme som sikkerhed.

Du kan sætte kryds ved alle felter og stadig blive udsat for et sikkerhedsbrud, hvis kontrollerne kun findes på papiret. Rammeværket er et værktøj til at opbygge ægte kapacitet; certifikatet er et biprodukt, ikke målet. Sigt efter kontroller, der fungerer i praksis og afprøves regelmæssigt.

Hvilket rammeværk du vælger, afhænger af konteksten:

• NIST CSF - fleksibelt og udbredt i USA, velegnet til at strukturere et program fra bunden.
• ISO 27001 - internationalt anerkendt og muligt at blive certificeret efter, ofte påkrævet af B2B-kunder og kunder i EU.
• SOC 2 - almindeligt blandt SaaS-leverandører, der skal dokumentere deres pålidelighed over for kunder.
• Branchespecifikke rammeværk: PCI DSS (betalinger), HIPAA (sundhedssektoren i USA).

Mange modne organisationer kortlægger deres praksis op mod flere rammeværk samtidig, fordi kunder og tilsynsmyndigheder stiller krav om forskellige rammeværk.

Trusler, systemer og virksomheden ændrer sig alle. Et rammeværk driver en løbende cyklus: vurder risiko, implementer kontroller, overvåg effektiviteten, forbedr, og gentag.

Det er derfor, standarder indeholder gennemgangscyklusser og revisioner. Et sikkerhedsniveau, der blev certificeret for to år siden og aldrig er blevet vurderet igen, er sandsynligvis forældet. Rammeværket holder programmet levende i stedet for fastfrosset på et bestemt tidspunkt.

Rammeværk gør mere end at reducere risikoen for sikkerhedsbrud; de skaber konkret forretningsværdi:

• Salgsunderstøttelse - store virksomheds- og offentlige indkøbere kræver ofte dokumentation for et anerkendt rammeværk, før de underskriver.
• Tillid og omdømme - en certificering signalerer modenhed over for kunder og partnere.
• Operationel klarhed - tydelige roller og processer reducerer kaos under hændelser.
• Billigere forsikring - cyberforsikringsselskaber fastsætter i stigende grad præmier ud fra, om virksomheden anvender et rammeværk.

Det er ved at fremstille sikkerhed som en forretningsmulighed og ikke kun en omkostning, at programmer får finansiering.

Hvorfor sikkerhedsrammeværk findes:

• De erstatter reaktiv og tilfældig sikkerhed med struktur: fælles sprog, dækning, modenhed og dokumenterbarhed.
• De skelner mellem rammeværk (fleksible strukturer), standarder (specifikationer, der kan føre til certificering), og reguleringer (lovkrav).
• Moderne rammeværk er risikobaserede og tager udgangspunkt i registrering af aktiver og data.
• De fleste dækker de samme kontrolfamilier; styring tildeler ejerskab og fastsætter et gennemgangsinterval.
• Overholdelse af krav er ikke sikkerhed; behandl rammeværket som en cyklus for løbende forbedringer og ikke som en tjekliste, der kun gennemgås én gang.